SC情報処理安全確保支援士試験午後Ⅰ

平成27年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

近年，インターネット回線からのサイバー攻撃による被害が，大々的に報道されるようになった。現在， Webアプリケーションソフトウェアを利用するサービス事業にとって，サイバー攻撃への対策は必須である。 Webアプリケーションソフトウェアの開発者には，脆ぜい弱性を作り込まないように，既知の対策を実施することに加えて，攻撃者が悪意をもって操作をした場合でも，問題が起きないような設計と実装を行うことが求められる。本問では，よく知られた脆弱性であるHTTPヘッダインジェクション及びセッションフィクセーションを題材に，攻撃者の視点での攻撃方法を意識した，脆弱性の検出能力と，脆弱性への対策能力を問う。

解き方のヒントを見る

問01：セッションIDを守るには、改行の悪用とログイン後の作り直しに注意しよう

HTTP通信では、セッションIDがURLやヘッダなどから漏れてしまうと、他人に“入場券”を拾われるような状態になるよ。さらに、`%0d%0a%0d%0a` のような改行コードを差し込まれると、HTTPヘッダを途中で区切って別の内容をねじ込まれることがある。だから、出力前に改行文字を取り除くことと、ログイン成功後に新しいセッションIDを発行することが大切だよ。

この問題で問われていること

典型的な攻撃文字列が何を狙っているのかを見抜き、それをセッション管理の対策と結び付けて考えられるかがポイントだよ。

Header Injection and Session Fixation Defense

defending against header injection and session fixation requires stripping CRLF sequences from output and issuing a new session ID after login

CRLF injection string\nheader rewriting risk\nold session ID must not persist\nreissue session after login

確認ポイント

CRLF を改行コードとして意識する。
ログイン後にセッションを切り替える。
HTTP で漏れる条件も確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成27年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成27年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題